CVE-2026-82431

Opis

`SimpleACLAuthorizer` ocenił zestaw poleceń na poziomie użytkownika, wracając wcześniej, gdy `nimbus.users` był pusty,
zanim wzięto pod uwagę `nimbus.groups`. Operator, który ograniczył dostęp do klastra wyłącznie grupom, odchodzi
`nimbus.users` nieustawiony, zatem nie otrzymał żadnych ograniczeń: każdy uwierzytelniony użytkownik główny był dozwolony
każdą operację na poziomie użytkownika, w tym `submitTopology`, `beginFileUpload` i `getNimbusConf`.

`docs/SECURITY.md` przedstawia `nimbus.groups` jako obsługiwany sposób blokowania klastra, więc wdrożenie
postępując zgodnie z dokumentacją, można było sądzić, że jest ona ograniczona, podczas gdy tak nie było. Awaria jest cicha; nic
w logach lub konfiguracja wskazuje, że lista grup jest ignorowana.

Obie listy pozostawione puste nadal oznaczają, że nie skonfigurowano żadnych ograniczeń, co jest domyślnym ustawieniem i
jest niezmieniona.

Łagodzenie

Aktualizacja do wersji 3.1.0, gdzie `nimbus.groups` jest sprawdzane niezależnie od tego, czy ustawiono `nimbus.users`.

Użytkownicy, którzy nie mogą dokonać natychmiastowej aktualizacji, powinni dodatkowo wypełnić `nimbus.users` zamierzonymi plikami
podmioty zabezpieczeń, ponieważ niepusta lista użytkowników powoduje, że lista grup będzie oceniana w wersjach, których dotyczy problem.
Operatorzy powinni przeglądać dzienniki dostępu Nimbus pod kątem operacji wykonywanych przez zleceniodawców spoza zamierzonych grup.

Należy pamiętać, że po aktualizacji klaster skonfigurowany wyłącznie z `nimbus.groups` staje się restrykcyjny dla pierwszego
czas. Obejmuje to „NimbusClient”, który wywołuje „getLeader” przy każdym połączeniu, więc klienci spoza
skonfigurowane grupy zaczną być odrzucane.

Kredyt

ASF – odkrył, że używa agentów Claude do badania bezpieczeństwa projektów open source, co zostało potwierdzone i zgłoszone przez Apache Storm.